Plan ciągłości działania może wyglądać poprawnie, dopóki nikt nie zada pytań w sytuacji presji czasu. Test stolikowy pozwala sprawdzić decyzje, role, komunikację i zależności bez wyłączania systemów produkcyjnych. Uczestnicy dostają scenariusz, omawiają kolejne zdarzenia i zapisują, co zrobiliby w rzeczywistej sytuacji.
To nie jest kolejny techniczny test kopii. Protokół rzeczywistego odtworzenia opisuje artykuł o teście odtworzeniowym w JST. Ćwiczenie stolikowe sprawdza wcześniejszą warstwę: kto rozpoznaje wpływ awarii, kto podejmuje decyzję, jak urząd utrzymuje minimalną obsługę i kiedy dopuszcza odbudowę.
Co można sprawdzić w 60 minut
Jedno krótkie ćwiczenie powinno mieć jeden cel. Dla pierwszej sesji może nim być odpowiedź na pytanie: czy urząd potrafi w ciągu godziny ustalić priorytet usług, uruchomić tryb zastępczy i przygotować kontrolowaną decyzję o odtworzeniu po awarii wspólnej infrastruktury.
Przed spotkaniem prowadzący wybiera dwie lub trzy usługi z rejestru usług krytycznych. Nie trzeba obejmować całego urzędu. Węższy scenariusz daje więcej konkretnych wniosków niż rozległa symulacja, w której jednocześnie przestaje działać wszystko.
Kogo zaprosić
- osobę podejmującą decyzje organizacyjne — na przykład sekretarza albo wyznaczonego zastępcę;
- właściciela analizowanej usługi — osobę, która zna skutek przerwy dla mieszkańców i pracowników;
- przedstawiciela IT lub CUW — osobę znającą systemy, zależności i możliwości odtworzenia;
- osobę odpowiedzialną za incydenty i bezpieczeństwo — jeśli scenariusz może oznaczać atak;
- prowadzącego i protokolanta — prowadzący podaje kolejne zdarzenia, a protokolant zapisuje decyzje oraz luki.
Jeżeli ważną część usługi utrzymuje dostawca, warto zaprosić go do wybranego fragmentu ćwiczenia albo przynajmniej sprawdzić jego ścieżkę kontaktową. Spotkanie nie powinno zależeć od obecności jednej konkretnej osoby. Zastępstwa są częścią testu.
Scenariusz na 60 minut
0–10 minut: zasady i stan początkowy
Prowadzący przedstawia zakres: poniedziałek, godzina 8:10, pracownicy nie mogą zalogować się do obiegu dokumentów i dwóch systemów dziedzinowych. Telefonia działa, ale panel monitoringu wspólnej infrastruktury jest niedostępny. Nie wiadomo jeszcze, czy przyczyną jest awaria, błąd zmiany czy incydent.
Uczestnicy mają pracować na istniejących procedurach. Nie wykonują zmian w produkcji i nie zgadują technicznych szczegółów, których normalnie nie mogliby potwierdzić. Każda decyzja powinna mieć właściciela, czas i przesłankę.
10–20 minut: pierwsza ocena
Zespół odpowiada, kto przyjmuje informację, kto koordynuje diagnozę, które usługi są zagrożone oraz kiedy problem trafia do kierownictwa. Prowadzący dopytuje o kanał zapasowy, listę kontaktów i sposób odróżnienia niedostępności technicznej od incydentu cyberbezpieczeństwa.
20–35 minut: skutek dla usług
Pojawia się pierwsza wstawka: przed urzędem tworzy się kolejka, a jedna z jednostek organizacyjnych zgłasza brak dostępu do wspólnego uwierzytelniania. Uczestnicy wybierają minimalny poziom obsługi, uruchamiają właściwe procedury obejściowe i ustalają komunikat dla pracowników oraz mieszkańców.
35–45 minut: ograniczona dostępność dostawcy
Druga wstawka: podstawowy opiekun dostawcy nie odpowiada, a dostępna infolinia prosi o numer umowy i poziom priorytetu. Zespół powinien wskazać ścieżkę eskalacji, właściciela kontaktu, potrzebne dane i sposób dokumentowania czasu reakcji. Jeżeli tych informacji trzeba dopiero szukać, jest to konkretna luka, nie błąd uczestnika.
45–55 minut: decyzja o odtwarzaniu
IT informuje, że możliwe jest odtworzenie części środowiska, ale czas powrotu wszystkich zależności jest nieznany. Uczestnicy ustalają kolejność usług, osobę zatwierdzającą przejście do odbudowy, warunki bezpieczeństwa oraz sposób akceptacji działania przez właściciela usługi. W scenariuszu z podejrzeniem ataku decyzje muszą pozostać spójne z procedurą obsługi incydentu M06.
55–60 minut: decyzje i następne kroki
Na koniec nie tworzy się długiego raportu. Wystarczy zatwierdzić trzy listy: co zadziałało, czego nie dało się ustalić oraz co trzeba poprawić. Każde działanie korygujące otrzymuje właściciela, termin i sposób ponownego sprawdzenia.
Pięć rodzajów dowodów po ćwiczeniu
- Oś decyzji. Kto i na jakiej podstawie kwalifikował zdarzenie, uruchamiał obejście i zatwierdzał odtwarzanie.
- Mapa komunikacji. Działające oraz niedziałające kanały, osoby zastępujące i ścieżki eskalacji.
- Priorytety usług. Kolejność wraz z krótkim uzasadnieniem wpływu i zależności.
- Luki w dokumentacji. Nieaktualne numery, niejasne role, brak formularza, hasła zależne od jednej osoby lub nieznany poziom SLA.
- Plan poprawek. Właściciel, termin, dowód zamknięcia i data następnego ćwiczenia.
Jak ocenić wynik
Ćwiczenie jest udane, jeżeli ujawnia rzeczywiste luki w kontrolowanych warunkach. Nie należy oceniać zespołu za brak odpowiedzi, której nie ma w procedurach. Warto natomiast sprawdzić, czy uczestnicy potrafili rozpoznać wpływ, eskalować niepewność, utrzymać bezpieczny poziom usługi i zamknąć spotkanie konkretnymi decyzjami.
Scenariusze, role, karty decyzji i harmonogram ćwiczeń porządkuje moduł M10 — Ciągłość działania IT. Jeżeli problem dotyczy organizacji zespołu i zastępstw, powiązanym obszarem jest moduł M07 — Organizacja zespołu reagowania.
Źródła i data weryfikacji
Stan źródeł zweryfikowano 21 lipca 2026 r. Materiał Gov.pl opisuje ćwiczenia stolikowe jako wspólną pracę nad konkretnym scenariuszem i decyzjami, która pomaga kadrze zarządzającej oraz IT lepiej przygotować się do problemów bezpieczeństwa i ciągłości. NIST SP 800-34 przedstawia testy, szkolenia i ćwiczenia jako element utrzymywania planów awaryjnych.